Das externe SOC scheitert selten an der Technik

Wenn ein ausgelagertes Security Operations Center im Ernstfall nicht funktioniert, liegt die Ursache selten dort, wo alle zuerst suchen: beim Anbieter und seiner Technik. Sie liegt fast immer an der Arbeitsteilung zwischen interner IT und externem Dienstleister, an einer Linie, die viele Organisationen erst ziehen, wenn der erste echte Vorfall sie dazu zwingt. Dann ist keine Zeit mehr dafür. Denn zwischen dem Einbruch in ein Netzwerk und der Übergabe an jene Gruppe, die den Zugang verwertet, lagen 2022 im Median mehr als acht Stunden. 2025 waren es laut Daten von Mandiant 22 Sekunden. Die Werkzeuge der Abnehmer sind beim Erstzugriff bereits installiert, die Übernahme startet ohne Anlauf. Damit hängt alles an einer Frage. Wo genau verläuft die Linie zwischen extern und intern, und was muss die interne Seite liefern, damit sie unter diesem Zeitdruck hält?

Skala lässt sich kaufen, Kontext nicht

Ein externer Dienstleister bringt drei Dinge mit, die intern nur mit erheblichem personellem und organisatorischem Aufwand entstehen: eine durchgehende Erstsichtung der Sicherheitsmeldungen, auch an jedem Wochenende und in jeder Ferienwoche; geübte Triage, also die Fähigkeit, aus einem Strom gleich lauter Meldungen die wenigen echten herauszuziehen; und ein Bedrohungslagebild, das jemand hauptberuflich nachführt. Dazu kommen Skaleneffekte: standardisierte Prozesse, spezialisierte Fachkräfte und Erfahrung aus vielen Kundenumgebungen, die in einer einzelnen Organisation nie zusammenkommt.

Der personelle Aufwand einer echten 24/7-Abdeckung wird dabei regelmässig unterschätzt. Eine dauerhaft besetzte Position erfordert 8760 Abdeckungsstunden pro Jahr, allein die Arbeitszeitrechnung ergibt damit mehr als vier Vollzeitstellen. Rechnet man Ferien, Krankheit, Weiterbildung, Schichtübergaben und die parallele Abdeckung mehrerer Technologien dazu, liegt der Bedarf in unserem Betriebsmodell bei sieben bis acht Vollzeitstellen, nur für die Erstsichtung.


Der Sans SOC Survey 2025 zeigt, wie eng die Rechnung wird: 79 Prozent der befragten Security Operations Center geben eine Abdeckung rund um die Uhr an, die häufigste Teamgrösse liegt aber zwischen zwei und zehn Personen (Sans Institute, SOC Survey 2025). Unter acht Personen ist die Erstsichtung nicht mehr lückenlos abzudecken. Verspricht ein Betrieb dieser Grösse trotzdem eine Überwachung rund um die Uhr, gibt es dafür zwei Erklärungen: Lücken oder Unterstützung von aussen.

Was ein externer Dienstleister nicht automatisch mitbringt, ist der Kontext des Unternehmens. Ohne Zulieferung kennt er weder die tatsächliche Kritikalität der einzelnen Systeme noch deren betriebliche Abhängigkeiten. Um zu beurteilen, ob der Fernzugriff eines Lieferanten am Sonntagmorgen eine geplante Wartung oder ein Sicherheitsvorfall ist, braucht er Zugriff auf den Wartungskalender. Diese Grenze ist eine Gestaltungsbedingung des Modells, kein Mangel. Ein funktionierender Betrieb kombiniert Skalierung und Spezialisierung von aussen mit internem Wissen über Geschäftsprozesse, Risiken und Entscheidungswege. Er funktioniert nur mit klarer Arbeitsteilung: wer verantwortet was, wer eskaliert wann, wer übergibt welchen Kontext.

Wer die Erstsichtung behält, kauft das Falsche ein

Die Zuordnung ist im Kern einfach. Braucht eine Aufgabe Kontext über das eigene Unternehmen, bleibt sie intern, oder sie muss aus internen Quellen dokumentiert und übergeben werden. Braucht sie Skala und Spezialisierung, ist sie ein Fall für einen externen Spezialisten.

In Anfragen und Ausschreibungen ist vor allem ein Punkt (siehe Tabelle auf der folgenden Seite) falsch eingeordnet: die Erstsichtung. Sie gehört nach aussen, und zwar ganz. Wer sie im eigenen Team behält und nur die vertiefte Analyse einkauft, dreht das Modell um und schafft sich unnötig Aufwand: Die Schichtlast, der belastendste Teil, bleibt im Haus, und die geübte Triage, der wirksamste Teil des Angebots, wird wegen Überlastung oft gar nicht erst abgerufen. Der Markt bestätigt die Zuordnung: Tier-1-Analysten, also die Erstlinie, sind laut Daten von Kaspersky die am häufigsten extern bezogene Rolle, gefolgt von Tier 2.


Die Gegenrichtung gilt genauso. Das Wissen darüber, was wichtig ist und was normal, entsteht nur im eigenen Haus. Ein Anbieter kann es nutzen, sobald es ihm zur Verfügung steht. Erheben und aktuell halten kann er es nicht.

Ohne Kontext wird aus Erkennung Rauschen

Ein externes SOC ist nur so gut wie der Kontext, den es bekommt. Je genauer es Umgebung und Abläufe eines Unternehmens kennt, desto zuverlässiger kann es beurteilen, ob eine Meldung Aufmerksamkeit braucht oder nicht. Davon hängt ab, wie viel Arbeit am Ende beim Kunden ankommt: Wer den Kontext nicht hat, kann nur weiterreichen, was er sieht. Dann verlagert sich die Sichtung zurück ins Unternehmen, also genau die Arbeit, die es auslagern wollte. Vier Informationen entscheiden, ob aus technischen Signalen verwertbare Erkennung wird oder zusätzliches Rauschen:

Erstens ein aktuelles Asset-Inventar mit Kritikalitätseinstufung. Massgeblich ist, welche Folgen ihr Ausfall oder ihre Kompromittierung für den Geschäftsbetrieb hat. Eine technische Bestandsliste reicht dafür nicht.


Zweitens Netz- und Applikationskontext. Das SOC muss unterscheiden können, was in dieser Umgebung normal ist. Ein grosser Datenbankexport um zwei Uhr nachts kann Teil des Monatsabschlusses sein oder eine Exfiltration. Das weiss nur das Unternehmen.

Drittens vollständig angebundene Log- und Telemetriequellen und eine Überwachung dieser Anbindungen. Fällt eine Quelle aus, muss das erkannt, gemeldet und in definierter Frist behoben werden. Sonst entsteht ein blinder Fleck, möglicherweise genau dort, wo ein Angreifer arbeitet.

Viertens benannte Ansprechpartner mit Vertretung, erreichbar auch ausserhalb der Bürozeiten. Eine Überwachung rund um die Uhr verliert ihren Wert, wenn kritische Meldungen nachts und am Wochenende niemand bewerten und eskalieren kann.

Eine hohe Fehlalarmquote ist deshalb nicht automatisch ein Qualitätsmangel des Dienstleisters; sie kann ebenso auf fehlenden Unternehmenskontext oder unvollständige Telemetrie zurückgehen. Umgekehrt bleibt der Anbieter dafür verantwortlich, Erkennungsregeln laufend zu optimieren, Rückmeldungen systematisch zu verarbeiten und die Datenqualität zu überwachen.

Die Eskalationslinie gehört vor den Ernstfall

In der Eskalation zeigt sich, ob die Zusammenarbeit funktioniert, und hier liegt zugleich der häufigste Konstruktionsfehler. Zuständigkeiten sind zwar beschrieben, aber nicht für zeitkritische Situationen geregelt. Bei einem Übergabefenster von 22 Sekunden auf der Angreiferseite wiegt eine ungeklärte Freigabekette schwerer als jede technische Lücke. Vier Fragen sollten deshalb schriftlich beantwortet sein, bevor sie der Ernstfall stellt.

- Wer nimmt eine Eskalation ausserhalb der Bürozeiten entgegen?
- Wer darf ein betroffenes System isolieren?
- Wer entscheidet über einen möglichen Betriebsunterbruch?
- Was geschieht, wenn keine entscheidungsbefugte Person erreichbar ist?


Die letzte Frage ist die wichtigste und zugleich die am seltensten geregelte. Ein Anbieter, der niemanden erreicht, kann handeln oder warten. Beides ist vertretbar, solange es vorher vereinbart wurde. Sonst entscheidet der Zufall. In der Praxis bewähren sich abgestufte Handlungsvollmachten besser als pauschale Vorgaben. Nicht geschäftskritische Systeme: bei eindeutigen Anzeichen sofort isolieren, Meldung folgt. Produktionsnahe Systeme: nur nach Freigabe, mit definierter Wartefrist und benannter Ersatzinstanz.

Eine Eskalationsmatrix, die nie erprobt wurde, bleibt eine Annahme. Eine jährliche Übung, die Entscheidungswege ebenso prüft wie Rufnummern, Bereitschaftsdienste und Vertretungen, deckt mehr Fehler auf als jede Vertragsverhandlung.

Onboarding: die ersten Wochen bestimmen die Qualität

Zwischen der Vertragsunterzeichnung und einer verlässlichen Erkennungsleistung liegt eine Aufbau- und Lernphase. Wer sie im Projekt- und Erwartungsmanagement nicht einplant, hält eine normale Kalibrierung für eine ungenügende Leistung. Das Onboarding umfasst vier Etappen: Rollout der Agents, Anbindung und Qualitätssicherung der Datenquellen, Kalibrierung auf die konkrete Umgebung, kontrollierter Übergang in den Regelbetrieb. Meist entstehen erste belastbare Erkennungen innerhalb von 30 bis 90 Tagen, gerechnet ab dem Rollout der Agents. Die tatsächliche Dauer hängt von Grösse und Komplexität der Umgebung, der Qualität der vorhandenen Informationen und der Verfügbarkeit interner Ansprechpartner ab. Das ist jedoch ein Praxiswert und kein anerkannter Branchenstandard.


Die Kalibrierung verlangt Mitarbeit auf beiden Seiten. Der Dienstleister analysiert, passt an und dokumentiert nachvollziehbar; das Unternehmen liefert Rückmeldungen zu gemeldeten Aktivitäten. Ein Fehlalarm, der nicht als solcher zurückgemeldet wird, löst Monate später die gleiche Untersuchung und die gleiche Eskalation aus.

Fünf häufige Fehlermuster

Bei Ausschreibungen, Transitionen und im laufenden Betrieb zeigen sich fünf organisatorische Fehlermuster besonders häufig, und nicht alle sind der Kundenseite anzurechnen.

1. Die Rollen sind nicht verbindlich geklärt. Beide Seiten gehen davon aus, die andere übernehme den nicht ausdrücklich geregelten Teil.

2. Der Unternehmenskontext fehlt. Der Dienstleister kennt die Systeme, aber nicht ihre geschäftliche Bedeutung, und eskaliert zu häufig, zu spät oder an die falsche Stelle.

3. Die Erstsichtung verbleibt beim Kunden. Aus Kostengründen, aus Gewohnheit oder wegen unklarer Prozesse prüft das interne Team weiterhin einen grossen Teil der Meldungen. Die Schichtlast bleibt im Unternehmen, die eingekaufte Leistung wird nur teilweise genutzt.

4. Die Eskalation läuft ins Leere. Ansprechpartner haben gewechselt, Rufnummern sind veraltet, Vertretungen fehlen. Bemerkt wird das erst im Ernstfall.

5. Die Leistung wird nicht gemessen. Ohne vereinbarte Kennzahlen wird die Zusammenarbeit nach einzelnen Vorfällen oder dem letzten Ärgernis beurteilt.

Die Verantwortung dafür liegt nicht ausschliesslich beim Kunden. Ein Dienstleister, der Kontext benötigt, muss ihn strukturiert einfordern und aktuell halten. Bleibt eine veraltete Rufnummer über Monate unentdeckt, haben beide Seiten ihre Kontrollpflichten nicht wahrgenommen. Ein regelmässiger Betriebsrapport deckt solche Lücken rechtzeitig auf.

Vier Kennzahlen, die in keinem Angebot stehen

Vier Kennzahlen genügen, um zu beurteilen, wie das interne Team und ein externes SOC miteinander arbeiten.

1. Zeit bis zur Erstsichtung. Gemessen wird die Zeit vom Eingang eines kritischen Alarms bis zur ersten qualifizierten Beurteilung. Was zählt, sind Perzentile und die Einhaltung der vereinbarten Fristen über den gesamten 24/7-Zeitraum. Ein Durchschnitt über Bürozeiten verdeckt genau die Verzögerungen, auf die es ankommt.


2. Anteil selbst entdeckter Vorfälle. Die Kennzahl zeigt, wie oft eine Organisation einen Vorfall selbst bemerkt, bevor Kunden, Partner oder Behörden sie darauf hinweisen. Mandiant hat 2025 bei 52 Prozent der untersuchten Vorfälle die ersten Hinweise intern gefunden, bei einer medianen Verweildauer der Angreifer von 14 Tagen. Übergeben wird ein Zugang in Sekunden, entdeckt wird der Angreifer nach Tagen. Genau diese Lücke misst die Kennzahl. Die Werte stammen allerdings aus dem Fallbestand von Mandiant und sind kein repräsentativer Branchendurchschnitt; sie taugen zur Einordnung, nicht zum Benchmarking.

3. Fehlalarmquote im Zeitverlauf. Der absolute Wert sagt wenig, er hängt von Umgebung, Datenquellen und Erkennungslogik ab. Aussagekräftig ist die Richtung: Sinkt die Quote trotz wachsender Betriebserfahrung nicht, funktioniert der Rückkanal zwischen den Teams nicht.

4. Qualität der Eskalationen. Wie oft wurde korrekt priorisiert, wie oft zu spät, wie oft unnötig, wie oft fehlten relevante Informationen? Dazu gehört auch, ob die richtigen Ansprechpartner erreicht wurden. Diese Auswertung fällt selten schmeichelhaft aus, für beide Seiten.

Keine dieser Kennzahlen trägt jedoch allein. Eine sehr kurze Reaktionszeit verliert an Wert, wenn sie mit unqualifizierten Eskalationen erkauft wird.

Nicht wie viel, sondern wie sauber

Wie oft der Ernstfall in der Schweiz eintritt, zeigt die Meldestatistik: Im zweiten Halbjahr 2025 gingen beim Bundesamt für Cybersicherheit 145 Meldungen zu meldepflichtigen Cybervorfällen und 57 zu Ransomware-Fällen ein (BACS, Halbjahresbericht 2025/2). Wie viel eine Organisation an einen externen Dienstleister überträgt, ist weniger entscheidend als die Qualität der Schnittstellen. Geschäftlicher Kontext und Risikoverantwortung bleiben im Unternehmen. Skalierung, durchgehende Erstsichtung und spezialisierte Fähigkeiten können von aussen kommen. Bei Eskalation, Eindämmung und Wiederherstellung müssen beide Seiten ineinandergreifen. An diesen Übergabepunkten entscheidet sich, ob das Modell einem Gegner standhält, der vom Einbruch bis zur Übernahme 22 Sekunden braucht.


Die organisatorischen Fragen stellen sich damit unabhängig vom Betriebsmodell. Die Wahl besteht nur darin, ob eine Organisation sie im Voraus und in Ruhe beantwortet oder erst dann, wenn ein Angreifer bereits im Netz aktiv ist.